{"id":813,"date":"2026-09-28T14:33:42","date_gmt":"2026-09-28T14:33:42","guid":{"rendered":"https:\/\/cybertica.cr\/?p=813"},"modified":"2026-09-28T14:33:42","modified_gmt":"2026-09-28T14:33:42","slug":"soberania-del-dato-y-ens-por-que-las-empresas-espanolas-apuestan-por-servidores-dedicados","status":"publish","type":"post","link":"https:\/\/cybertica.cr\/?p=813","title":{"rendered":"Soberan\u00eda del dato y ENS: por qu\u00e9 las empresas espa\u00f1olas apuestan por servidores dedicados"},"content":{"rendered":"<div>\n<p class=\"wp-block-paragraph\">El Esquema Nacional de Seguridad dej\u00f3 de ser un asunto exclusivo de las Administraciones. Desde el Real Decreto 311\/2022 alcanza tambi\u00e9n a las empresas privadas que, en virtud de una relaci\u00f3n contractual, prestan servicios o proveen soluciones al sector p\u00fablico. Cumplirlo empieza por dos datos que los pliegos ya piden por escrito: d\u00f3nde est\u00e1 el servidor y qui\u00e9n lo opera.<\/p>\n<p class=\"wp-block-paragraph\">La presi\u00f3n tampoco llega solo desde el sector p\u00fablico. La Directiva NIS2, que los Estados miembros deb\u00edan transponer antes del 17 de octubre de 2024, extiende las obligaciones de ciberseguridad a 18 sectores cr\u00edticos e incluye la seguridad de la cadena de suministro, as\u00ed que muchos proveedores privados reciben ya la misma pregunta desde sus propios clientes.<\/p>\n<h3 class=\"wp-block-heading\">Quien firma con la Administraci\u00f3n hereda el Esquema<\/h3>\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.boe.es\/eli\/es\/rd\/2022\/05\/03\/311\" target=\"_blank\" rel=\"noreferrer noopener\">El art\u00edculo 2.3 del real decreto<\/a> extiende el Esquema a los sistemas de informaci\u00f3n de las entidades del sector privado cuando prestan esos servicios, e incluye expresamente la obligaci\u00f3n de contar con una pol\u00edtica de seguridad propia. La exigencia baja adem\u00e1s a la cadena de suministro, en funci\u00f3n del an\u00e1lisis de riesgos: un subcontratista puede terminar dentro del per\u00edmetro sin haber firmado nada con la Administraci\u00f3n.<\/p>\n<p class=\"wp-block-paragraph\">La categor\u00eda del sistema la fija el due\u00f1o de la informaci\u00f3n evaluando cinco dimensiones (confidencialidad, integridad, trazabilidad, autenticidad y disponibilidad). Basta con que una dimensi\u00f3n alcance el nivel alto para que el sistema entero sea de categor\u00eda <strong>ALTA<\/strong>.<\/p>\n<p class=\"wp-block-paragraph\">De la categor\u00eda depende c\u00f3mo se acredita la conformidad:<\/p>\n<ul class=\"wp-block-list\">\n<li>Categor\u00eda B\u00c1SICA: Es suficiente una declaraci\u00f3n de la propia organizaci\u00f3n tras una autoevaluaci\u00f3n.<\/li>\n<li>Categor\u00eda MEDIA y ALTA: Exige auditor\u00eda y <a href=\"https:\/\/ens.ccn.cni.es\/es\/que-es-el-ens\/faq\" target=\"_blank\" rel=\"noreferrer noopener\">un certificado emitido por una entidad acreditada<\/a> por la Entidad Nacional de Acreditaci\u00f3n (ENAC), con una validez de dos a\u00f1os y revisi\u00f3n al menos bienal.<\/li>\n<\/ul>\n<p class=\"wp-block-paragraph\">La certificaci\u00f3n ya no es una rareza: <a href=\"https:\/\/gobernanza.ccn-cert.cni.es\/certificados\" target=\"_blank\" rel=\"noreferrer noopener\">el registro del CCN<\/a> contabiliza 4.099 sistemas certificados, 1.004 de ellos en categor\u00eda alta. Para los productos que se integran en esos sistemas hay otra referencia, el Cat\u00e1logo de Productos y Servicios de Seguridad TIC (CPSTIC) del CCN, que recoge los cualificados o aprobados para su uso en sistemas sujetos al ENS.<\/p>\n<h3 class=\"wp-block-heading\">El equipo base se reserva por comunidad de seguridad<\/h3>\n<p class=\"wp-block-paragraph\">Aqu\u00ed la arquitectura empieza a decidir el papeleo. Para una comunidad de seguridad de categor\u00eda media, <a href=\"https:\/\/www.ccn-cert.cni.es\/publico\/seriesCCN-STIC\/series\/800-Esquema_Nacional_de_Seguridad\/823-Seguridad-en-entornos-cloud\/823-Cloud_Computing_ENS.pdf\" target=\"_blank\" rel=\"noreferrer noopener\">el equipo base queda reservado a una sola comunidad<\/a>, y en categor\u00eda alta la separaci\u00f3n se extiende a las redes de administraci\u00f3n.<\/p>\n<p class=\"wp-block-paragraph\">Un servidor dedicado entrega esa separaci\u00f3n por construcci\u00f3n:<\/p>\n<ul class=\"wp-block-list\">\n<li>Inquilino \u00fanico: Un solo usuario en el chasis.<\/li>\n<li>Ubicaci\u00f3n f\u00edsica identificable: Una sala clara y un pa\u00eds espec\u00edfico que se puede registrar directamente en el inventario.<\/li>\n<li>Alcance acotado: Quien alquila un servidor dedicado responde de todo lo que va por encima del hardware: sistema operativo, cuentas de administraci\u00f3n, cifrado, aplicaciones, datos y copias de seguridad.<\/li>\n<\/ul>\n<p class=\"wp-block-paragraph\">En un entorno compartido, esta misma separaci\u00f3n debe demostrarse con medidas adicionales y sostenerse en el an\u00e1lisis de riesgos, lo cual alarga tanto la implantaci\u00f3n como la auditor\u00eda.<\/p>\n<p class=\"wp-block-paragraph\">La nube p\u00fablica sigue siendo una opci\u00f3n v\u00e1lida y existen prestadores con servicios certificados en categor\u00eda alta. Lo que cambia con el hierro reservado es el trabajo de acotar el alcance, que es donde se consume el presupuesto de un proyecto ENS. Quien teclea \u00abalquiler servidor dedicado\u00bb con un pliego ENS encima de la mesa compra, sobre todo, un per\u00edmetro m\u00e1s f\u00e1cil de describir.<\/p>\n<h3 class=\"wp-block-heading\">M\u00e1s que el mapa, pesa la consola<\/h3>\n<p class=\"wp-block-paragraph\">Elegir una regi\u00f3n europea en un panel deja resuelta la ubicaci\u00f3n y abre la pregunta siguiente. La gesti\u00f3n de los medios de tratamiento, identidades, DNS o plano de control, depende a menudo de <a href=\"https:\/\/www.aepd.es\/prensa-y-comunicacion\/blog\/soberania-operativa-en-tratamientos-de-datos-personales\" target=\"_blank\" rel=\"noreferrer noopener\">servicios centralizados en la regi\u00f3n de origen del proveedor<\/a>, y una ca\u00edda all\u00ed alcanza a aplicaciones alojadas en centros de datos europeos.<\/p>\n<p class=\"wp-block-paragraph\">La soberan\u00eda operativa es la capacidad de operar y gestionar los sistemas de tratamiento de forma aut\u00f3noma, y el responsable ha de demostrar diligencia debida sobre ese riesgo antes de que se materialice.<\/p>\n<p class=\"wp-block-paragraph\">En transferencias internacionales el punto de partida es <a href=\"https:\/\/www.aepd.es\/derechos-y-deberes\/cumple-tus-deberes\/medidas-de-cumplimiento\/transferencias-internacionales\" target=\"_blank\" rel=\"noreferrer noopener\">la lista de decisiones de adecuaci\u00f3n de la Comisi\u00f3n Europea<\/a>, que desde el 10 de julio de 2023 incluye a Estados Unidos para las organizaciones comerciales adheridas al Data Privacy Framework.<\/p>\n<p class=\"wp-block-paragraph\">A falta de decisi\u00f3n de adecuaci\u00f3n, el env\u00edo exige garant\u00edas adecuadas, cl\u00e1usulas tipo o normas corporativas vinculantes, y un an\u00e1lisis de la legislaci\u00f3n del pa\u00eds de destino.<\/p>\n<p class=\"wp-block-paragraph\">Ese an\u00e1lisis es el que tumb\u00f3 el Privacy Shield en la sentencia Schrems II (asunto C-311\/18) de 2020, por el alcance de la vigilancia estadounidense. Y la CLOUD Act de 2018 permite a las autoridades de EE. UU. reclamar datos a un proveedor sujeto a su jurisdicci\u00f3n, est\u00e9n donde est\u00e9n guardados. Por eso cuenta la nacionalidad del proveedor, no solo la ubicaci\u00f3n del dato.<\/p>\n<p class=\"wp-block-paragraph\">Conviene fechar la respuesta que se entrega en un pliego: el Data Privacy Framework est\u00e1 en vigor y a la vez recurrido ante el Tribunal de Justicia de la Uni\u00f3n Europea, as\u00ed que cualquier contestaci\u00f3n tiene fecha de caducidad.<\/p>\n<p class=\"wp-block-paragraph\">La jurisdicci\u00f3n tambi\u00e9n se intenta resolver por certificaci\u00f3n. La cualificaci\u00f3n SecNumCloud de la ANSSI francesa exige que los datos del cliente no queden sujetos a normativas no europeas, mientras que el esquema europeo EUCS, que deb\u00eda armonizar esa exigencia, segu\u00eda en desarrollo a principios de 2026 por el desacuerdo sobre los requisitos de soberan\u00eda.<\/p>\n<h3 class=\"wp-block-heading\">Papeles que han de constar antes de mover carga<\/h3>\n<p class=\"wp-block-paragraph\">Un certificado de prestador tiene alcance, y el alcance se lee en el propio documento: qu\u00e9 servicios cubre, qu\u00e9 centros de datos, en qu\u00e9 categor\u00eda, qu\u00e9 entidad lo emiti\u00f3 y entre qu\u00e9 fechas. Junto a \u00e9l han de existir el encargo de tratamiento del art\u00edculo 28 del Reglamento General de Protecci\u00f3n de Datos y el acuerdo de nivel de servicio, firmados antes de mover carga.<\/p>\n<p class=\"wp-block-paragraph\">En el cat\u00e1logo de <a href=\"https:\/\/www.ovhcloud.com\/es-es\/bare-metal\/advance\/\" target=\"_blank\" rel=\"noreferrer noopener\">ovhcloud servidores dedicados para empresas<\/a>, la gama Advance figura desplegable en quince regiones repartidas entre cuatro continentes, con infraestructura anti-DDoS disponible por defecto en todos los productos. Un cat\u00e1logo de ese alcance convierte la regi\u00f3n en una decisi\u00f3n del comprador: hay que tomarla, escribirla en el contrato y poder acreditarla despu\u00e9s. La ficha describe la m\u00e1quina; el alcance ENS lo fija el cliente.<\/p>\n<p class=\"wp-block-paragraph\">El mismo criterio vale para el propio proveedor. OVHcloud declara en su p\u00e1gina de cumplimiento la conformidad con el ENS de categor\u00eda alta; antes de citarlo en un pliego conviene pedir el certificado y comprobar qu\u00e9 servicios y centros de datos cubre.<\/p>\n<h3 class=\"wp-block-heading\">El sello se queda en la puerta del centro de datos<\/h3>\n<p class=\"wp-block-paragraph\">La certificaci\u00f3n de un prestador acredita sus servicios y sus sistemas. El sello del prestador no pasa a la aplicaci\u00f3n del cliente, y la responsabilidad final recae siempre en el organismo contratante. La ISO 27001 acredita un sistema de gesti\u00f3n de la seguridad de la informaci\u00f3n y responde a un marco distinto, con otro alcance y otra entidad detr\u00e1s.<\/p>\n<p class=\"wp-block-paragraph\">Adecuar un sistema al Esquema es a la vez papeleo y arquitectura. Nombrar la m\u00e1quina, la sala y el pa\u00eds ayuda al inventario y a la jurisdicci\u00f3n, y ahorra media docena de preguntas en el pliego siguiente. La pol\u00edtica, el an\u00e1lisis de riesgos y la auditor\u00eda siguen siendo del contratante. El chasis no firma la conformidad.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>El Esquema Nacional de Seguridad dej\u00f3 de ser un asunto exclusivo de las Administraciones. Desde el Real Decreto 311\/2022 alcanza tambi\u00e9n a las empresas privadas que, en virtud de una relaci\u00f3n contractual, prestan servicios o proveen soluciones al sector p\u00fablico. Cumplirlo empieza por dos datos que los pliegos ya piden por escrito: d\u00f3nde est\u00e1 el [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":814,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-813","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-uncategorized"],"_links":{"self":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/813","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=813"}],"version-history":[{"count":0,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/posts\/813\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=\/wp\/v2\/media\/814"}],"wp:attachment":[{"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=813"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=813"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybertica.cr\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=813"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}